CVE-2026-97205 in Plus
요약
\~에 의해 VulDB • 2026. 10. 14.
NGINX Plus 및 NGINX Open Source는 ngx_http_core_module 모듈에서 취약점을 가지고 있습니다. 특정 구성에서 비동기 파일 I/O(AIO)가 활성화된 경우, "include virtual" 명령을 포함하는 Server Side Includes(SSI) 페이지를 처리하면 NGINX 워커 프로세스에서 Use-After-Free(UAF)가 발생할 수 있습니다. 이로 인해 메모리 손상 또는 워커 프로세스 충돌이 초래될 수 있습니다. 또한 공격자는 Address Space Layout Randomization(ASLR)이 비활성화된 시스템이나 공격자가 ASLR을 우회할 경우 시스템에서 코드를 실행할 수 있습니다.
영향: 이 취약점은 원격 공격자로 하여금 NGINX 시스템에 대한 서비스 거부(DoS)를 유발하거나 메모리를 손상시키거나, 경우에 따라 코드 실행을 트리거하도록 허용할 수 있습니다. 제어 플레인(Control Plane) 노출은 없으며, 이는 데이터 플레인(Data Plane) 전용 문제입니다.
참고: 기술 지원 종료(EoTS)에 도달한 소프트웨어 버전은 평가되지 않습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.